WINBASE.IO — Datenschutzerklärung
gemäß Art. 13, 14 DSGVO — Stand: Juni 2026 | Version 2.0
1. Verantwortlicher
Diektec UG (Haftungsbeschränkt) | Randstr. 1, 22525 Hamburg | Deutschland
E-Mail: privacy@winbase.io | Website: winbase.io
Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen (§ 38 BDSG). Bei Fragen zum Datenschutz wenden Sie sich bitte an privacy@winbase.io.
2. Datenschutzrechtliche Rollenverteilung
Kernprinzip: Getrennte Verantwortliche — kein AVV
- Winbase (Diektec UG (Haftungsbeschränkt)) ist eigenständiger Verantwortlicher für den Plattformbetrieb.
- Creator sind eigenständige Verantwortliche für Daten aus ihren eigenen Veranstaltungen.
- Ein allgemeiner Auftragsverarbeitungsvertrag (AVV) wird nicht geschlossen.
Winbase ist Verantwortlicher für:
Registrierung, Nutzerkonten, Authentifizierung, Sicherheitsmaßnahmen, Betrugserkennung, Plattformbetrieb, Kommunikationssysteme, technische Logs und Transparenzfunktionen.
Creator sind eigenständige Verantwortliche für:
Personenbezogene Daten aus eigenen Veranstaltungen, insbesondere Gewinnerkontakt, Versandabwicklung und zusätzliche Datenerhebung.
Eine Weitergabe von Gewinnerdaten an Creator erfolgt ausschließlich soweit für die Gewinnabwicklung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Creator nutzen diese Daten ausschließlich zweckgebunden und löschen sie nach Zweckentfall.
Betroffene machen ihre Rechte gegenüber Winbase geltend für Winbase-Verarbeitungen (privacy@winbase.io). Für Creator-Verarbeitungen sind Betroffene direkt an den Creator zu verweisen.
3. Verarbeitungsvorgänge im Überblick
| Verarbeitungsvorgang | Datenkategorien | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Registrierung & Konto | E-Mail, Nutzername, Passwort (gehasht), Handynummer, Geburtsdatum, Anschrift, Zeitstempel | Art. 6 Abs. 1 lit. b DSGVO | Bis Kontolöschung |
| Plattformnutzung | Teilnahmedaten, Losnummern, Zeitstempel | Art. 6 Abs. 1 lit. b DSGVO | Kontolaufzeit |
| Abonnements / Zahlung | Rechnungsdaten, Zahlungsstatus (keine Kartenrohdaten) | Art. 6 Abs. 1 lit. b DSGVO; § 147 AO | 10 Jahre |
| Creator-Freischaltung | Identitäts-, Adress-, Gewerbenachweise | Art. 6 Abs. 1 lit. c, f DSGVO | Kontolaufzeit + 3 Jahre |
| Gewinnerdaten | Benutzername, Kontaktdaten (Gewinnübergabe) | Art. 6 Abs. 1 lit. b DSGVO | Bis Abschluss Gewinnabwicklung |
| Sicherheit / Logs | IP (anonymisiert nach 7 Tagen), Browser-Infos | Art. 6 Abs. 1 lit. f DSGVO | 30 Tage |
| Cookies / Tracking | Notwendige Cookies + opt-in Analytics | Art. 6 lit. a (opt-in) / lit. f (notw.) | gem. Cookie-Richtlinie |
| E-Mail-Kommunikation | Kontaktanfragen, Support | Art. 6 Abs. 1 lit. b, f DSGVO | 3 Jahre |
4. Weitergabe von Daten
4.1 Weitergabe an Creator
Gewinnerdaten werden an den Creator nur weitergegeben, soweit für die Gewinnabwicklung erforderlich (Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung mit dem Teilnehmer). Die Weitergabe ist auf das notwendige Minimum beschränkt. Ein AVV wird nicht geschlossen, da Creator eigenständige Verantwortliche sind.
4.2 Dienstleister (Subprozessoren von Winbase)
Winbase setzt zur Erbringung der Plattformleistungen folgende Kategorien von Dienstleistern ein (jeweils mit eigenem AVV mit Winbase):
- Hosting- und Infrastrukturanbieter (bevorzugt EU/EWR)
- E-Mail-Versanddienst (Transaktions-E-Mails)
- Zahlungsdienstleister
- CDN / DDoS-Schutz
- Analyse- und Monitoring-Dienste (nur mit Einwilligung)
Eine aktuelle Dienstleisterliste ist auf Anfrage erhältlich (privacy@winbase.io). Details zu den eingesetzten Diensten: Abschnitt 8.
4.3 Drittlandtransfers
Sofern Dienstleister außerhalb EU/EWR eingesetzt werden, erfolgt die Übermittlung ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO (EU-Standardvertragsklauseln oder Angemessenheitsbeschluss).
4.4 Behörden
Weitergabe an Behörden nur bei gesetzlicher Verpflichtung.
5. Betroffenenrechte
| Recht | Inhalt |
|---|---|
| Auskunft | Art. 15 DSGVO: Recht auf Auskunft über gespeicherte Daten |
| Berichtigung | Art. 16 DSGVO: Recht auf Berichtigung unrichtiger Daten |
| Löschung | Art. 17 DSGVO: Recht auf Löschung („Recht auf Vergessenwerden") |
| Einschränkung | Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung |
| Datenübertragbarkeit | Art. 20 DSGVO: Übertragung in maschinenlesbarem Format |
| Widerspruch | Art. 21 DSGVO: Widerspruch gegen auf berechtigtem Interesse gestützte Verarbeitung |
| Widerruf | Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufbar |
| Beschwerde | Art. 77 DSGVO: Beschwerde bei der zuständigen Aufsichtsbehörde |
Anfragen: privacy@winbase.io
Zuständige Aufsichtsbehörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg — eine Liste aller Landesdatenschutzbehörden finden Sie unter: bfdi.bund.de
Konto- und Datenlöschung
Sie können Ihr Konto und alle zugehörigen Daten selbst löschen: Im Dashboard unter Einstellungen → Account löschen. Die Löschung erfolgt sofort und umfasst Profildaten, Avatar, Teilnahmedaten und aktive Abonnements (Stripe-Abos werden automatisch gekündigt).
Alternativ können Sie die Löschung schriftlich beantragen: privacy@winbase.io. Wir werden die Anfrage innerhalb von 30 Tagen bearbeiten.
Bestehen aufgrund von Empfehlungsprovisionen steuerlich aufbewahrungspflichtige Gutschriften (§ 147 AO, 10 Jahre), wird Ihr Konto nicht vollständig gelöscht, sondern anonymisiert: Alle personenbezogenen Profildaten (Name, E-Mail, Anschrift, Telefonnummer, Zahlungs- und Auszahlungsdaten) werden entfernt und Ihr Zugang wird dauerhaft gesperrt. Erhalten bleibt ausschließlich der anonymisierte, aufbewahrungspflichtige Buchungsbeleg ohne Personenbezug.
6. Sicherheitsmaßnahmen (Art. 32 DSGVO)
- TLS-Verschlüsselung (HTTPS, mind. TLS 1.2)
- Rollenbasiertes Zugriffsrechtekonzept (least privilege)
- Zwei-Faktor-Authentifizierung für Administratorzugänge
- Pseudonymisierung von Teilnehmerlisten für öffentliche Nachweise
- IP-Anonymisierung nach spätestens 7 Tagen
- Regelmäßige Datensicherungen, Wiederherstellungstests
- Protokollierung administrativer Zugriffe
- Regelmäßige Sicherheitsüberprüfungen und Patch-Management
Die Ziehung von Raffle-Gewinnern erfolgt durch einen deterministischen Algorithmus (SHA-256 + Bitcoin-Block-Hash), der keine personenbezogenen Merkmale der Teilnehmer berücksichtigt. Es werden keine automatisierten Entscheidungsverfahren im Sinne von Art. 22 DSGVO eingesetzt.
7. Creator-Datenschutzpflichten
Creator, die über Winbase Teilnehmerdaten verarbeiten, sind eigenständige Verantwortliche. Sie verpflichten sich durch Akzeptanz der AGB und der Creator-Datenschutzklausel:
- Teilnehmer gemäß Art. 13, 14 DSGVO über die Verarbeitung zu informieren
- Eine eigene, gesetzeskonforme Datenschutzerklärung für ihre Veranstaltungen bereitzustellen
- Erhaltene Teilnehmerdaten ausschließlich für die jeweilige Veranstaltung zu nutzen
- Daten nach Zweckentfall unverzüglich zu löschen
- Datenpannen unverzüglich an privacy@winbase.io zu melden
- Winbase von Ansprüchen aus Datenschutzverletzungen freizustellen
Hinweis: Kein AVV zwischen Winbase und Creator
Da Creator eigenständige Verantwortliche sind, wird kein Auftragsverarbeitungsvertrag geschlossen. Die Creator-Datenschutzverpflichtungen werden durch Akzeptanz der AGB und der Creator-Datenschutzklausel (Checkbox F im Freischaltungsprozess) rechtsverbindlich begründet.
8. Cookies und Tracking
Technisch notwendige Cookies werden ohne Einwilligung gesetzt (Art. 6 Abs. 1 lit. f DSGVO). Für nicht notwendige Cookies wird vorherige Einwilligung eingeholt (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit widerrufen werden, indem die Browser-Cookies gelöscht werden — beim nächsten Besuch wird das Banner erneut angezeigt.
Details und Opt-out: winbase.io/cookies
8.1 Technisch notwendige Cookies
| Dienst | Zweck | Anbieter | Speicherdauer | Rechtsgrundlage |
|---|---|---|---|---|
| Supabase Auth | Session-Cookie für Login-Status, Benutzer-Authentifizierung, Token-Refresh | Supabase Inc., EU-Hosting (Frankfurt, aws-eu-central-1) | Sitzung / max. 7 Tage | Art. 6 Abs. 1 lit. b DSGVO |
| Stripe | Zahlungsabwicklung, Betrugserkennung (__stripe_mid, __stripe_sid). Cookies werden nur bei Checkout/Billing-Interaktion gesetzt. | Stripe Inc., PCI-DSS-zertifiziert | Sitzung / bis 1 Jahr | Art. 6 Abs. 1 lit. b DSGVO |
| next-intl (Sprache) | Speichert die bevorzugte Sprache (de/en). Rein lokal im Browser, keine Datenübertragung. | Lokal (kein Drittanbieter) | 1 Jahr | Art. 6 Abs. 1 lit. f DSGVO |
| Referral-Code | Speichert den Empfehlungscode aus der URL (?ref=...) lokal im Browser, damit er bei späterer Registrierung zugeordnet werden kann. Wird nach erfolgreicher Registrierung gelöscht. | Lokal (localStorage) | 30 Tage | Art. 6 Abs. 1 lit. f DSGVO |
| Cloudflare Turnstile | Bot-Schutz bei der Registrierung. Turnstile analysiert Browser-Signale im Hintergrund, um automatisierte Registrierungen zu verhindern. Dabei wird die IP-Adresse kurzzeitig an Cloudflare-Server übertragen. | Cloudflare Inc., USA (EU-SCC, Datenverarbeitung teilweise in EU-Rechenzentren) | Sitzung | Art. 6 Abs. 1 lit. f DSGVO |
| Cookie-Einwilligung | Speichert die getroffene Cookie-Auswahl (winbase_cookie_consent). Rein lokal im Browser. | Lokal (localStorage) | Unbegrenzt (löschbar durch Nutzer) | Art. 6 Abs. 1 lit. c DSGVO |
8.2 Analyse-Cookies (nur mit Einwilligung)
| Dienst | Zweck | Anbieter | Daten | Rechtsgrundlage |
|---|---|---|---|---|
| Vercel Analytics | Anonyme Seitenaufrufe und Nutzungsstatistiken. Kein Cross-Site-Tracking, keine personenbezogenen Daten. | Vercel Inc., USA (EU-SCC) | Seiten-URL, Referrer, Gerätetyp, Land (anonymisiert) | Art. 6 Abs. 1 lit. a DSGVO |
| Vercel Speed Insights | Messung der Ladezeiten (Core Web Vitals). Vollständig anonymisiert, keine Nutzererkennung. | Vercel Inc., USA (EU-SCC) | LCP, FID, CLS, TTFB (Performance-Metriken) | Art. 6 Abs. 1 lit. a DSGVO |
8.3 Marketing-Cookies
Derzeit werden keine Marketing- oder Werbe-Cookies eingesetzt.
8.4 Weitere Datenverarbeitungen durch Dienstleister
| Dienst | Zweck | Anbieter | Rechtsgrundlage |
|---|---|---|---|
| Supabase Storage | Speicherung von Nutzer-Avataren und Raffle-/Competition-Bildern | Supabase Inc., EU (Frankfurt) | Art. 6 Abs. 1 lit. b DSGVO |
| Resend | Transaktionale E-Mails (Bestätigung, Gewinn-Benachrichtigung, Abo-Status) sowie Newsletter-Benachrichtigungen (nur mit ausdrücklicher Einwilligung) | Resend Inc., USA (EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO) | Art. 6 Abs. 1 lit. b DSGVO (transaktional) / Art. 6 Abs. 1 lit. a DSGVO (Newsletter) |
| seven.io (SMS) | Versand eines einmaligen SMS-Verifizierungscodes (OTP) bei der Registrierung zur Bestätigung der Handynummer. Es wird ausschließlich die Handynummer und der 6-stellige Code übermittelt; keine weiteren Profildaten. Der Code ist 10 Minuten gültig. | seven communications GmbH, Deutschland (DSGVO-konform, Serverstandort Deutschland) | Art. 6 Abs. 1 lit. b DSGVO |
| Vercel Hosting | Hosting, CDN, Edge-Funktionen. Server-Logs (IP, User-Agent) für max. 30 Tage. | Vercel Inc., USA (EU-SCC) | Art. 6 Abs. 1 lit. f DSGVO |
| OpenStreetMap (Leaflet) | Kartendarstellung bei Geo-Guesser-Challenges. Karten-Tiles werden von OSM-Servern geladen. | OpenStreetMap Foundation | Art. 6 Abs. 1 lit. b DSGVO |
| blockchain.info / blockstream.info | Abruf des letzten Bitcoin-Block-Hashs als externer Entropie-Wert für die transparente Raffle-Ziehung (blockstream.info dient als Ausweich-Quelle). Kein Nutzerbezug. | Blockchain.com / Blockstream | Art. 6 Abs. 1 lit. f DSGVO |
| YouTube (Google LLC) | Einbettung von YouTube-Videos in Raffle- und Competition-Seiten. Beim Laden eines eingebetteten Videos wird Ihre IP-Adresse an Google-Server übertragen. Wir verwenden den datenschutzfreundlichen Modus (youtube-nocookie.com), sodass kein Tracking-Cookie ohne Interaktion gesetzt wird. | Google LLC, USA (EU-SCC) | Art. 6 Abs. 1 lit. f DSGVO |
| Anthropic (Claude KI) | KI-gestützte Funktionen: Raffle-Builder, Competition-Builder (nur für Creator/Admin) sowie der öffentliche KI-Chatbot „Winny". Bei der Nutzung wird der eingegebene Text zur Verarbeitung an Anthropic-Server übertragen. Es werden keine personenbezogenen Profildaten übermittelt. Anthropic speichert Eingaben gemäß eigener Datenschutzrichtlinie nicht für Trainingszwecke (API-Nutzung). | Anthropic PBC, USA (EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO) | Art. 6 Abs. 1 lit. b DSGVO (Creator-Tools) / Art. 6 Abs. 1 lit. f DSGVO (Chatbot) |
| Web Push (VAPID) | Browser-Push-Benachrichtigungen für Premium-, Creator- und Admin-Nutzer. Bei Aktivierung wird ein Push-Abonnement (Endpoint-URL des Browser-Anbieters sowie VAPID-Schlüsselpaar) auf unseren Servern gespeichert. Die Abonnements können jederzeit im Browser oder über das Dashboard widerrufen werden. | Winbase / jeweiliger Browser-Anbieter (z. B. Google LLC, Mozilla Foundation) | Art. 6 Abs. 1 lit. a DSGVO |
9. Löschfristen
| Datenkategorie | Löschfrist |
|---|---|
| Nutzerkontodaten | Löschung nach Kontolöschung, spätestens 30 Tage nach Kündigung |
| Gewinnerdaten | Anschrift/Kontaktdaten des Gewinners werden dem Creator nur zur Gewinnabwicklung angezeigt und spätestens 6 Monate nach Ende der Verlosung/Competition automatisch ausgeblendet |
| Rechnungs- / Zahlungsdaten | 10 Jahre gemäß § 147 AO |
| Creator-Nachweisdaten | 3 Jahre nach Ende Creator-Verhältnis |
| Sicherheitslogs / IP | 30 Tage (IP anonymisiert nach 7 Tagen) |
| Handynummer (SMS-Verifizierung) | Dauerhaft gespeichert während Kontolaufzeit; Löschung bei Kontolöschung |
| SMS-OTP-Codes | Invalidierung nach 10 Minuten oder erfolgreicher Verifizierung |
| Push-Abonnements | Bis zum Widerruf der Push-Einwilligung oder Kontolöschung |
| E-Mail-Versandprotokolle | Max. 30 Tage |
| Support-Kommunikation | 3 Jahre nach Abschluss des Vorgangs |
10. Änderungen dieser Datenschutzerklärung
Bei rechtlichen oder technischen Änderungen wird diese Erklärung angepasst. Die aktuelle Fassung ist stets unter winbase.io/datenschutz abrufbar. Über wesentliche Änderungen werden Nutzer per E-Mail informiert.
Stand: Juni 2026 | Version 2.0
Verantwortlicher: Diektec UG (Haftungsbeschränkt) | privacy@winbase.io
Aufsichtsbehörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Hamburg